Лицензия ФСБ на шифровальные средства: какие виды деятельности лицензируются, требования, порядок получения

01

Лицензия ФСБ, нотификация и лицензия на ввоз: три разных документа

Путаница возникает из-за слова «лицензия» и из-за того, что все три инструмента касаются криптографии. Нотификация — уведомление о характеристиках модели товара, регистрируется изготовителем, даёт право ввоза. Лицензия Минпромторга на ввоз — разрешение на конкретную внешнеторговую операцию с шифровальными средствами вне категорий нотификации. Лицензия ФСБ — разрешение организации осуществлять на территории России деятельность, связанную с шифровальными средствами. Она не про товар и не про границу, а про то, что компания делает.

02

Какие виды деятельности лицензируются

Перечень видов работ в области шифрования, подлежащих лицензированию, установлен положением о лицензировании этой деятельности. В лицензии указываются конкретные виды работ и услуг, и выполнять можно только их: лицензия на обслуживание не даёт права распространять, лицензия на распространение — права разрабатывать.

03

Кому лицензия нужна, а кому нет: по бизнес-моделям

Требование о лицензии привязано к деятельности, обращённой наружу — к третьим лицам. Использование сертифицированных средств для собственных нужд не лицензируется. Граница проходит по вопросу: делаете ли вы что-то с шифровальными средствами для других.

04

Лицензионные требования к соискателю

Требования делятся на четыре группы: персонал, помещения, оборудование и средства защиты, документация. Каждая проверяется при рассмотрении заявления и затем при плановых и внеплановых проверках.

05

Требования к персоналу подробнее

Для большинства видов работ требуются руководитель или его заместитель, ответственный за лицензируемую деятельность, и специалисты, имеющие высшее профессиональное образование по направлению информационной безопасности либо иное высшее образование с профессиональной переподготовкой по программам, согласованным в установленном порядке, и стаж работы в области лицензируемой деятельности. Число специалистов и требования к стажу зависят от заявляемых видов работ.

• профильное высшее образование по информационной безопасности — самый прямой путь;
• непрофильное высшее образование с переподготовкой по установленной программе — распространённый вариант для практиков;
• стаж в области лицензируемой деятельности подтверждается документально, а не описанием опыта;
• ответственный руководитель назначается приказом и несёт персональную ответственность;
• персонал, допущенный к работе с СКЗИ, проходит обучение по правилам обращения с ними;
• штатные, а не привлечённые по разовым договорам сотрудники.

06

Требования к помещениям и учёту СКЗИ

Помещения, где хранятся и эксплуатируются шифровальные средства и ключевые документы, должны исключать неконтролируемый доступ: режим допуска, охрана или сигнализация, надёжные хранилища для ключевых носителей, порядок вскрытия и опечатывания. Учёт СКЗИ, ключевых документов и эксплуатационной документации ведётся поэкземплярно в журналах, назначается ответственный за учёт и хранение, регулярно проводится проверка наличия. Эти же требования проверяют при контроле у пользователей СКЗИ, но для лицензиата они — условие самого права работать.

1. Определите помещения для хранения СКЗИ и ключевых документов и оформите права на них.
2. Организуйте режим доступа: перечень допущенных лиц, порядок посещения, охрана или сигнализация.
3. Установите хранилища для ключевых носителей с порядком опечатывания.
4. Заведите журналы поэкземплярного учёта СКЗИ, ключевых документов, эксплуатационной документации.
5. Назначьте приказом ответственных за учёт, хранение и эксплуатацию.
6. Утвердите инструкции по обращению с СКЗИ и порядок действий при компрометации ключей.
7. Проводите периодические проверки наличия и фиксируйте их результаты.

07

Порядок получения по шагам

1. Определите точный перечень видов работ по положению о лицензировании, исходя из бизнес-модели на два-три года вперёд: дополнять лицензию — отдельная процедура.
2. Проведите аудит соответствия: персонал, помещения, оборудование, документация; составьте план устранения разрывов.
3. Подберите или переподготовьте персонал, оформите трудовые отношения и приказы.
4. Подготовьте помещения, режим доступа, хранилища, журналы учёта.
5. Приобретите сертифицированные СЗИ и СКЗИ, необходимые для заявленных работ, обеспечьте поверку средств измерений.
6. Разработайте и утвердите внутренние регламенты и инструкции.
7. Подготовьте заявление и комплект документов, уплатите государственную пошлину.
8. Подайте заявление в ФСБ России; пройдите документарную проверку и проверку соответствия лицензионным требованиям с выездом.
9. Устраните замечания, если они есть, и получите лицензию; сведения вносятся в реестр лицензий.
10. Поддерживайте соответствие требованиям: кадры, учёт, помещения — проверяется в течение всего срока.

08

Комплект документов

09

Сроки и структура затрат

Срок процедуры складывается из подготовки и рассмотрения. Рассмотрение заявления и проверка укладываются в установленный регламентом срок с возможностью запросов; подготовка занимает от двух месяцев до полугода в зависимости от исходного состояния.

• государственная пошлина за предоставление лицензии — по Налоговому кодексу, малая часть бюджета;
• обучение и переподготовка персонала, заработная плата профильных специалистов — основная постоянная статья;
• оборудование помещений, хранилища, сигнализация;
• сертифицированные СЗИ и СКЗИ для собственной инфраструктуры лицензиата;
• разработка документации и консультационное сопровождение;
• поддержание соответствия: обучение новых сотрудников, поверка, актуализация документов.

10

Расширение перечня работ и изменения в лицензии

Лицензия выдаётся на конкретные виды работ, и выход за их пределы — нарушение, даже если у компании есть «какая-то лицензия ФСБ». Расширение перечня, изменение адреса мест осуществления деятельности, реорганизация, смена наименования — основания для переоформления лицензии с проверкой соответствия по новым позициям. Планируя бизнес, стоит заявить виды работ с запасом на ближайшие годы и заранее учитывать, что каждый новый адрес — это новое режимное помещение с теми же требованиями.

• новый вид работ — переоформление с проверкой требований по нему;
• новый адрес деятельности — подтверждение соответствия помещений;
• реорганизация или смена наименования — переоформление в установленный срок;
• прекращение отдельных видов работ — заявление об исключении;
• приостановление по результатам проверки — устранение нарушений в срок, иначе прекращение.

11

Проверки лицензиата и ответственность

Лицензирующий орган проводит плановые и внеплановые проверки соблюдения лицензионных требований: кадры, помещения, учёт СКЗИ и ключевых документов, соблюдение правил эксплуатации, ведение журналов. При выявлении нарушений выдаётся предписание, действие лицензии может быть приостановлено, а при неустранении нарушений — прекращено. Деятельность без лицензии, когда она обязательна, влечёт административную ответственность по статье 14.1 КоАП РФ, а при извлечении крупного дохода — уголовную по статье 171 УК РФ о незаконном предпринимательстве. Нарушение правил обращения с шифровальными средствами — отдельный состав по статье 13.12 КоАП РФ.

12

Типовые ошибки соискателей

• заявлены не те виды работ: описание бизнеса вместо пунктов положения о лицензировании;
• единственный профильный специалист — совместитель или привлечён по договору;
• переподготовка пройдена по программе, не соответствующей установленным требованиям;
• помещение в субаренде без возможности организовать режим;
• журналы учёта заведены формально, без фактического учёта экземпляров СКЗИ;
• несертифицированные СЗИ в собственной инфраструктуре лицензиата;
• регламенты скопированы из шаблонов и не описывают реальные процессы;
• старт коммерческой деятельности до получения лицензии «на время рассмотрения»;
• при расширении бизнеса не переоформлена лицензия на новые виды работ и адреса.

13

Чек-лист перед подачей заявления

1. Перечень видов работ сверен с положением о лицензировании и покрывает планы на два-три года.
2. Руководитель и специалисты соответствуют требованиям по образованию, переподготовке и стажу, оформлены в штат.
3. Помещения оформлены, режим доступа и хранилища организованы.
4. СЗИ и СКЗИ сертифицированы, средства измерений поверены.
5. Журналы учёта ведутся фактически, ответственные назначены приказами.
6. Регламенты и инструкции утверждены и известны персоналу.
7. Пошлина уплачена, заявление и комплект проверены на соответствие формам.
8. К выездной проверке готово фактическое состояние, а не только бумаги.

14

Как выбрать: нотификация, лицензия на ввоз или лицензия ФСБ

1. Определите, что вы делаете: ввозите товар, продаёте и обслуживаете средства защиты, оказываете услуги или используете криптографию для себя.
2. Для ввоза массовой электроники с ограниченной криптографией — нотификация на модели; для криптографии вне категорий — лицензия Минпромторга на ввоз.
3. Для продажи, установки и обслуживания СКЗИ у заказчиков, для услуг шифрования — лицензия ФСБ на соответствующие виды работ.
4. Для использования в собственной инфраструктуре — лицензия не требуется, но обязателен порядок эксплуатации по формуляру.
5. Для разработки сертифицируемых СКЗИ — лицензия ФСБ на разработку и производство обязательна до старта сертификации.
6. При сомнении определите режим до подписания договоров с заказчиками: переоформить схему после старта дороже, чем подождать лицензию.

15

Лицензия и нотификация: в чём разница

16

Когда лицензия не нужна

Использование шифровальных средств для собственных нужд организации не лицензируется: компания вправе применять сертифицированные средства защиты информации в своей инфраструктуре. Ввоз товаров с криптографическими функциями массового применения закрывается нотификацией. Лицензия становится обязательной, когда деятельность обращена наружу: продажа средств защиты информации, их установка и обслуживание у заказчиков, оказание услуг по шифрованию, разработка защищённых систем на заказ.

17

Требования к соискателю лицензии

• наличие помещений, соответствующих требованиям по защите информации, на праве собственности или в аренде;
• наличие необходимого оборудования и средств измерений с действующей поверкой;
• штатные специалисты с профильным образованием в области информационной безопасности;
• документально оформленная система защиты информации и внутренние регламенты;
• наличие сертифицированных средств защиты информации, необходимых для заявленных работ;
• отсутствие оснований для отказа, предусмотренных законодательством о лицензировании.

18

Требования к персоналу

Ключевое ограничение — квалификация. Для большинства видов работ требуются специалисты с высшим профильным образованием в области информационной безопасности или прошедшие переподготовку по установленным программам, с подтверждённым стажем. Именно кадровые требования обычно определяют реальный срок подготовки к лицензированию: помещения и оборудование можно организовать быстрее, чем набрать и подтвердить квалификацию сотрудников.

19

Порядок получения

1. Определите точный перечень видов работ, которые нужно лицензировать.
2. Проведите аудит соответствия требованиям: помещения, оборудование, персонал, документация.
3. Подготовьте помещения и оформите документы на них.
4. Обеспечьте наличие квалифицированных специалистов и подтверждающих документов.
5. Разработайте внутренние регламенты и документацию системы защиты информации.
6. Подготовьте комплект документов и оплатите государственную пошлину.
7. Подайте заявление в ФСБ России и пройдите проверку соответствия лицензионным требованиям.
8. Получите лицензию и обеспечьте поддержание требований в дальнейшем.

20

Сроки и стоимость

21

Ответственность и контроль

Деятельность без лицензии, когда она обязательна, влечёт административную ответственность по статье 14.1 КоАП РФ, а в отношении криптографических средств применяются и специальные составы, включая нарушение правил обращения со средствами защиты информации. Лицензирующий орган проводит проверки соблюдения лицензионных требований: при выявлении нарушений действие лицензии приостанавливается, а при неустранении — прекращается по решению суда. Отдельная зона риска — работы, выполняемые за пределами лицензированных видов деятельности.

22

Как выбрать между нотификацией и лицензией

1. Определите, что вы делаете: ввозите товар или оказываете услуги и продаёте средства защиты.
2. Для ввоза массовой электроники с криптографией — нотификация или, для отдельных категорий, лицензия на ввоз.
3. Для продажи средств защиты информации, их установки и обслуживания — лицензия на соответствующие виды работ.
4. Для использования в собственной инфраструктуре — лицензия не требуется.
5. Определите категорию криптографических функций товара: от неё зависит, достаточно ли нотификации.
6. При сомнениях получите заключение до заключения контракта: изменить схему после отгрузки дорого.